Votre administrateur WordPress vous offre un contrôle total sur l'ensemble de votre site. Contenu, extensions, thèmes, utilisateurs, fichiers et paramètres sont tous accessibles depuis une seule connexion. Ce niveau d'accès en fait une cible de choix pour les pirates informatiques.
La plupart des failles de sécurité WordPress ne commencent pas par une exploitation sophistiquée, mais par un compte administrateur compromis.
Les comptes d'administrateur WordPress représentent le principal risque de sécurité pour votre site, car ils offrent un accès illimité à l'ensemble de votre installation WordPress. Un compte d'administrateur compromis donne à un attaquant un contrôle total lui permettant d'injecter des logiciels malveillants, de créer des portes dérobées, de voler des données, de supprimer du contenu et de vous empêcher d'accéder à votre propre site. Les mots de passe faibles, les attaques par force brute, le phishing et un nombre excessif d'utilisateurs administrateurs sont les causes les plus fréquentes de compromission de comptes d'administrateur.
Pourquoi les comptes d'administrateur WordPress sont-ils si dangereux lorsqu'ils sont compromis ?
L'accès administrateur ne se limite pas à une simple connexion. Il s'agit d'un contrôle total et illimité sur l'intégralité de votre site. Un attaquant disposant de cet accès peut installer des plugins malveillants, injecter des logiciels malveillants dans les fichiers de votre thème, créer des comptes cachés et extraire toutes les données clients de votre base de données.
Les dégâts ne se limitent pas à votre site. Une fuite de données entraîne des poursuites judiciaires. Le blacklistage de Google anéantit votre trafic organique. Nettoyer un site WordPress compromis demande du temps, de l'argent et des efforts considérables. Prévenir la fuite coûte bien moins cher que d'en réparer les conséquences.
Les méthodes les plus courantes de compromission des comptes d'administrateur WordPress
Les comptes d'administrateur sont systématiquement compromis par les mêmes méthodes. Les connaître vous permet de les bloquer avant qu'ils ne soient utilisés contre vous.
- Mots de passe faibles ou réutilisés : si vous utilisez le même mot de passe sur plusieurs sites, une faille de sécurité sur l’un d’eux peut donner aux pirates informatiques l’accès à vos identifiants d’administrateur WordPress.
- Attaques par force brute sur wp-login.php : des outils automatisés testent des milliers de combinaisons d’identifiants et de mots de passe par minute sur votre page de connexion. Les identifiants par défaut et les mots de passe simples sont rapidement abandonnés.
- Attaques de phishing ciblant les utilisateurs administrateurs : de fausses pages de connexion, des e-mails frauduleux de mise à jour de plugins et de fausses notifications WordPress trompent les utilisateurs administrateurs et les incitent à divulguer leurs identifiants.
- Plugins compromis avec accès administrateur : un plugin piraté ou vulnérable peut créer une porte dérobée qui donne aux attaquants un accès administrateur sans jamais toucher à votre page de connexion.
- Cookies de session volés : si vous vous connectez via une connexion non sécurisée, votre cookie de session peut être intercepté et utilisé pour prendre le contrôle de votre session active.
- Bourrage d'identifiants à partir d'autres fuites de données : les attaquants extraient les identifiants de connexion de fuites connues et les testent automatiquement à grande échelle sur des sites WordPress.
- Partage des identifiants d'administrateur entre les membres de l'équipe : lorsque plusieurs personnes partagent un seul identifiant d'administrateur, il est impossible de savoir qui a fait quoi, et la révocation de l'accès d'une personne nécessite de modifier les identifiants de tout le monde.
Pourquoi le fait d'avoir trop de comptes d'administrateur constitue-t-il un problème de sécurité ?
Chaque compte administrateur que vous créez représente une porte d'entrée supplémentaire vers votre site. Chaque compte constitue un nouvel ensemble d'identifiants susceptibles d'être hameçonnés, piratés par force brute ou volés suite à une faille de sécurité chez un tiers.
Plus vous avez de comptes d'administrateur, plus il y a de chances qu'au moins l'un d'entre eux ait un mot de passe faible, appartienne à une personne qui ne travaille plus sur votre site, ou n'ait pas été utilisé depuis des mois.
N'accordez à chaque utilisateur que les accès strictement nécessaires à son travail. La plupart des sites WordPress attribuent par défaut un accès administrateur complet, par souci de simplicité. Or, tout compte aux privilèges excessifs compromis donne à l'attaquant bien plus de droits que l'utilisateur légitime n'en a jamais eu besoin.
Comment auditer vos comptes d'administrateur WordPress ?
Avant de sécuriser vos comptes d'administrateur, vous devez savoir précisément qui y a accès et si cet accès est toujours pertinent.
Examinez chaque compte administrateur de votre site
Dans votre tableau de bord WordPress, accédez à Utilisateurs → Tous les utilisateurs, puis filtrez par le rôle d'administrateur. Examinez chaque compte de cette liste et demandez-vous si chaque personne a réellement besoin d'un accès administrateur complet.
Notez chaque compte administrateur en indiquant le nom d'utilisateur, l'adresse e-mail, la date de dernière connexion et la raison pour laquelle il dispose de droits d'administrateur. Ces informations serviront de référence pour tout contrôle d'accès ultérieur.
Identifier les comptes d'administrateur inactifs et inutiles
Tout compte administrateur resté inactif pendant 90 jours représente un risque. Personne ne le surveille, le mot de passe n'a peut-être pas été mis à jour et le titulaire du compte risque de ne pas remarquer une activité suspecte.
Réduisez le rôle des comptes inactifs ou supprimez-les. Pour les anciens employés ou prestataires, supprimez immédiatement leur compte. Ne laissez jamais un compte administrateur actif pour une personne qui ne travaille plus sur votre site.
Vérifiez les comptes présentant une activité suspecte
Recherchez les comptes d'administrateur dont l'adresse e-mail vous est inconnue, le nom d'utilisateur générique ou la date de création ne correspond pas à l'historique de votre équipe. Il peut s'agir de comptes frauduleux créés par un attaquant précédent.
Utilisez un plugin de sécurité avec journal d'activité pour vérifier les actions de chaque compte administrateur. Toute modification de fichier inattendue, installation de plugin ou création de nouveaux utilisateurs depuis un compte non autorisé doit faire l'objet d'une enquête immédiate.
Comment sécuriser les comptes d'administrateur WordPress : étape par étape
Aucune solution ne peut, à elle seule, sécuriser vos comptes d'administrateur. Plusieurs contrôles doivent être mis en œuvre conjointement. Suivez ces étapes dans l'ordre.
Étape 1 : Modifier le nom d’utilisateur administrateur par défaut
Le nom d'utilisateur « admin » est la première chose que tous les outils d'attaque par force brute testent. Si vous le conservez, un attaquant n'aura besoin que de deviner votre mot de passe. Si vous le changez, il lui faudra les deux.
Créez un nouveau compte administrateur avec un nom d'utilisateur peu explicite, transférez-y votre contenu et vos paramètres, puis supprimez le compte administrateur d'origine. N'utilisez ni votre vrai nom, ni votre nom de domaine, ni aucun élément lié au mot « administrateur ».
Étape 2 : Appliquer des exigences de mots de passe robustes
Votre mot de passe d'administrateur WordPress doit comporter au moins 16 caractères et inclure un mélange de lettres majuscules et minuscules, de chiffres et de symboles.
Utilisez un gestionnaire de mots de passe pour créer et stocker un mot de passe unique et complexe. Activez de mots de passe forts dans votre extension de sécurité afin que chaque administrateur doive respecter un niveau de sécurité minimal, plutôt que de choisir un mot de passe simple.
Étape 3 : Activer l’authentification à deux facteurs pour tous les utilisateurs administrateurs
L'authentification à deux facteurs signifie qu'un pirate a besoin de plus que votre simple mot de passe pour accéder à votre système. Même s'il obtient vos identifiants de connexion par hameçonnage ou suite à une fuite de données, il ne pourra toujours pas se connecter sans le second facteur.
Installez WP 2FA et configurez-le pour exiger l'authentification à deux facteurs pour tous les administrateurs. Utilisez une application d'authentification comme Google Authenticator plutôt que les codes SMS, qui peuvent être interceptés lors d'attaques par échange de carte SIM.
Étape 4 : Limiter les tentatives de connexion sur wp-login.php
WordPress autorise par défaut un nombre illimité de tentatives de connexion. Cela facilite l'exécution automatisée d'attaques par force brute.
Installez Limit Login Attempts Reloaded et configurez-le pour bloquer les adresses IP après trois à cinq tentatives infructueuses. Définissez la durée de blocage à au moins 20 minutes pour la première infraction et à une durée plus longue pour les infractions répétées provenant de la même adresse IP.
Étape 5 : Restreindre l’accès administrateur par adresse IP
Si vos administrateurs se connectent systématiquement depuis les mêmes adresses IP, bloquez tous les autres utilisateurs au niveau du serveur. Toute tentative de connexion depuis une adresse IP inconnue n'atteindra jamais la page de connexion WordPress.
Ajoutez des règles de restriction d'adresse IP à votre fichier .htaccess ou configurez-les via votre extension de sécurité. Si votre équipe se connecte depuis plusieurs emplacements, utilisez un VPN et limitez l'accès à la plage d'adresses IP du VPN.
Étape 6 : Masquer ou renommer l’URL de connexion WordPress
Tous les attaquants savent que l'URL de connexion par défaut est wp-login.php. La modifier pour utiliser une URL personnalisée permet de bloquer la grande majorité des attaques par force brute automatisées qui ne cherchent jamais au-delà du chemin par défaut.
Installez WPS Hide Login et modifiez votre URL de connexion pour une URL impossible à deviner. Gardez-la privée. Ne la partagez qu'avec les personnes ayant besoin d'un accès administrateur et stockez-la dans votre gestionnaire de mots de passe avec vos identifiants.
Étape 7 : Utiliser le principe du moindre privilège pour les rôles des utilisateurs
Vérifiez chaque compte utilisateur de votre site et n'accordez à chacun que les accès dont il a réellement besoin. Un blogueur a besoin d'un accès Auteur. Un gestionnaire de contenu a besoin d'un accès Éditeur. Un développeur travaillant sur un projet spécifique peut avoir besoin d'un accès Administrateur temporaire, mais ce droit doit lui être retiré une fois le travail terminé.
WordPress propose cinq rôles par défaut : Abonné, Contributeur, Auteur, Éditeur et Administrateur. Réservez le rôle d’Administrateur aux personnes ayant réellement besoin d’un accès complet. Moins vous avez de comptes administrateurs, plus votre sécurité est compromise.
La sécurité de l'administration WordPress vous empêche-t-elle de dormir ?
Notre équipe de sécurité WordPress audite les comptes d'administrateur, configure l'authentification à deux facteurs, renforce la sécurité de votre page de connexion et surveille l'activité afin que votre site reste protégé 24h/24 et 7j/7.
Comment protéger le tableau de bord d'administration WordPress contre les accès non autorisés ?
Sécuriser le processus de connexion ne représente qu'une partie du travail. Votre tableau de bord d'administration a également besoin de niveaux de protection supplémentaires.
- Ajouter une authentification HTTP : une invite de nom d’utilisateur et de mot de passe au niveau du serveur, affichée avant l’interface d’administration de WordPress (wp-admin), crée une deuxième barrière avant même que la connexion à WordPress ne soit possible.
- Bloquer l'accès à wp-admin pour les utilisateurs non administrateurs : configurez votre plugin de sécurité pour rediriger les utilisateurs non administrateurs hors du tableau de bord wp-admin s'ils tentent d'y accéder directement.
- Désactivez XML-RPC : les attaquants l’utilisent pour mener des attaques par force brute et exécuter des commandes sans passer par votre page de connexion. Si vous ne l’utilisez pas, désactivez-le.
- Utilisez un plugin de journal d'audit : un journal d'activité enregistre chaque action effectuée dans votre tableau de bord d'administration, y compris les tentatives de connexion, les modifications de fichiers, les installations de plugins et les modifications d'utilisateurs.
- Configurer les délais d'expiration de session : un administrateur qui quitte une session ouverte la rend vulnérable. Configurez des délais d'expiration pour que les administrateurs inactifs soient automatiquement déconnectés après 15 à 30 minutes.
- Désactiver l'éditeur de fichiers : L'éditeur de fichiers des thèmes et extensions WordPress permet à tout administrateur de modifier directement les fichiers PHP. Pour le désactiver, ajoutez `define('DISALLOW_FILE_EDIT', true)` à votre fichier `wp-config.php`.
Comment surveiller l'activité d'un compte administrateur WordPress ?
Surveiller l'activité de vos comptes d'administrateur vous permet de détecter rapidement les éventuels dégâts causés par un attaquant.
L' extension WP Activity Log enregistre toutes les actions d'administration, y compris les connexions, les déconnexions, les tentatives de connexion infructueuses, les activations d'extensions, les modifications de fichiers et les changements de rôle des utilisateurs. Chaque entrée comprend un horodatage et une adresse IP.
Consultez régulièrement votre journal d'activité et configurez des alertes par e-mail pour les événements à haut risque, tels que la création d'un nouveau compte administrateur, l'installation de plugins à partir d'adresses IP inconnues et les pics de tentatives de connexion infructueuses.
Que faire si un compte administrateur WordPress est compromis ?
Agissez vite. Chaque minute d'attente donne à l'attaquant plus de temps pour créer des portes dérobées, voler des données ou causer des dommages plus difficiles à réparer.
Réinitialiser immédiatement tous les mots de passe d'administrateur
Réinitialisez immédiatement tous les mots de passe des comptes administrateur, et pas seulement celui qui a été compromis. Si un compte a été piraté, considérez tous les autres identifiants d'administrateur comme potentiellement compromis également.
Régénérez vos de sécurité et vos sels WordPress dans votre fichier wp-config.php. Cela interrompt toutes les sessions en cours et oblige tous les utilisateurs, y compris l'attaquant, à se reconnecter avec les nouveaux identifiants.
Révoquer l'accès et supprimer les comptes non autorisés
Accédez à Utilisateurs, puis à Tous les utilisateurs, et recherchez les comptes que vous ne reconnaissez pas, en particulier les comptes d'administrateur créés récemment. Supprimez immédiatement tout compte non autorisé.
Désactivez temporairement les comptes des membres de l'équipe dont les identifiants ont pu être compromis, jusqu'à ce que vous ayez identifié précisément comment la faille s'est produite.
Recherche de logiciels malveillants et de portes dérobées après une violation de données
Un compte administrateur compromis signifie presque toujours que des logiciels malveillants ou des portes dérobées ont été ajoutés à votre site. Effectuez une analyse complète avec Wordfence ou Sucuri dès que vos comptes sont sécurisés.
Examinez attentivement les fichiers récemment modifiés, notamment dans wp-content, wp-config.php, ainsi que les fichiers de votre thème et de vos extensions. Un résultat d'analyse négatif ne signifie pas toujours que votre site est totalement exempt de virus. En cas de fuite confirmée, il est conseillé de faire appel à un service professionnel de suppression de logiciels malveillants.
Revoir et renforcer la sécurité après l'incident
Une fois le nettoyage effectué, déterminez la cause du problème. L'authentification à deux facteurs était-elle désactivée ? Un mot de passe faible était-il utilisé ? Un compte inactif a-t-il été ciblé ?
Utilisez vos découvertes pour mettre en place les contrôles spécifiques qui auraient permis d'empêcher la faille. Notez ce qui s'est passé et les mesures que vous avez prises. Ce compte rendu vous sera utile lors de votre prochain examen de votre configuration de sécurité.
Meilleurs plugins pour sécuriser les comptes d'administrateur WordPress
Ces plugins couvrent tous les niveaux de sécurité des comptes d'administrateur, de la protection de la connexion à la surveillance de l'activité et à l'authentification à deux facteurs.
| Plugin | Idéal pour | Avantage |
|---|---|---|
| WP 2FA | Authentification à deux facteurs | Vérification du compte administrateur. |
| Limite des tentatives de connexion rechargée | Protection contre les attaques par force brute | Limitation du nombre de tentatives de connexion. |
| Journal d'activité WP | Surveillance de l'activité des administrateurs | Journal d'audit complet des actions d'administration. |
| Sécurité Wordfence | Sécurité complète | Sécurité de connexion et pare-feu. |
| Masquer la connexion WPS | Protection de l'URL de connexion | Masque le fichier wp-login.php aux attaquants. |
Erreurs de sécurité courantes à éviter dans l'administration WordPress
Ces erreurs apparaissent régulièrement sur les sites WordPress, et chacune d'elles augmente considérablement la probabilité d'une attaque réussie.
- Ignorer le nom d'utilisateur administrateur par défaut : tous les outils d'attaque par force brute le testent en premier. Si vous le conservez, vous offrez déjà aux attaquants la moitié des informations dont ils ont besoin.
- Ne partagez jamais les identifiants d'administrateur : des identifiants partagés vous empêchent de savoir qui a fait quoi, de révoquer l'accès d'une personne ou de déterminer quel compte a été compromis.
- Supprimez les accès lorsque des personnes quittent votre site : un compte d’administrateur actif appartenant à une personne qui ne travaille plus sur votre site est une porte ouverte sans surveillance.
- N’attribuez pas trop de rôles d’administrateur : chaque compte administrateur inutile représente une surface d’attaque supplémentaire. Accordez aux utilisateurs les accès strictement nécessaires à leur fonction, et rien de plus.
- Activez toujours l'authentification à deux facteurs : sans elle, un mot de passe volé suffit à un pirate pour accéder à votre compte.
- Surveillez les alertes de tentatives de connexion infructueuses : une augmentation soudaine du nombre de tentatives de connexion infructueuses indique une attaque par force brute en cours. L’ignorer, c’est rater l’occasion de l’arrêter.
- Vérifiez régulièrement les comptes d'administrateur : les listes de comptes d'administrateur s'allongent et se réduisent rarement d'elles-mêmes. Des vérifications régulières permettent de détecter les comptes inactifs avant qu'ils ne deviennent des incidents.
Conclusion : Améliorez la sécurité de votre administration
Votre compte administrateur WordPress est la clé d'accès principale à votre site. Toutes les autres mesures de sécurité mises en place deviennent inutiles si un attaquant parvient à contourner celle-ci.
Modifiez le nom d'utilisateur par défaut. Utilisez un mot de passe fort et unique. Activez l'authentification à deux facteurs pour tous les administrateurs. Limitez les tentatives de connexion. Vérifiez la liste de vos comptes administrateurs. Consultez vos journaux d'activité.
Faites tout cela de manière constante, et vos comptes d'administrateur passeront de votre plus grande vulnérabilité à l'une de vos plus fortes défenses.
FAQ sur la sécurité du compte administrateur WordPress
Pourquoi le compte administrateur WordPress représente-t-il un risque pour la sécurité ?
Il confère à son détenteur un contrôle total sur votre site, y compris les fichiers, les extensions, les thèmes, les utilisateurs et les paramètres de la base de données. Un compte administrateur compromis permet à un attaquant d'injecter des logiciels malveillants, de créer des portes dérobées, de voler des données et de vous en bloquer l'accès.
Comment sécuriser mon compte administrateur WordPress ?
Modifiez le nom d'utilisateur administrateur par défaut, utilisez un mot de passe fort et unique, activez l'authentification à deux facteurs, limitez les tentatives de connexion, restreignez l'accès à WP-Admin par adresse IP, masquez l'URL de connexion et vérifiez régulièrement qui dispose d'un accès administrateur. L'ensemble de ces mesures permet de bloquer la grande majorité des attaques contre les comptes d'administrateur.
Dois-je modifier le nom d'utilisateur par défaut de l'administrateur WordPress ?
Oui. Tous les outils d'attaque par force brute testent d'abord le compte administrateur. Le conserver signifie qu'un attaquant n'a besoin que de trouver votre mot de passe. Créez un nouveau compte administrateur avec un nom d'utilisateur différent et supprimez immédiatement le compte administrateur d'origine.
Comment activer l'authentification à deux facteurs pour l'administration WordPress ?
Installez WP 2FA et configurez-le pour exiger une authentification à deux facteurs pour tous les administrateurs. Utilisez une application d'authentification comme Google Authenticator plutôt que les codes SMS. Après la configuration, chaque administrateur devra recevoir un code unique en plus de son mot de passe à chaque connexion.
Combien de comptes d'administrateur un site WordPress doit-il comporter ?
Le moins possible. La plupart des sites n'ont besoin que d'un ou deux comptes administrateur actifs. Chaque compte supplémentaire représente une surface d'attaque supplémentaire. Attribuez aux utilisateurs le rôle minimal requis pour leur fonction et réservez le rôle d'administrateur aux personnes qui ont réellement besoin d'un accès complet.
Que dois-je faire si mon compte d'administrateur WordPress est piraté ?
Réinitialisez immédiatement tous les mots de passe d'administrateur et régénérez vos clés et sels de sécurité WordPress. Supprimez tous les comptes non autorisés dans le tableau de bord des utilisateurs. Effectuez une analyse complète de votre système à l'aide de Wordfence ou Sucuri. Analysez ensuite les failles de sécurité et mettez en place les mesures correctives nécessaires pour empêcher l'intrusion.
